关于RDBMS服务器停机的探讨

作为常年跟数据库安全、架构打交道的从业者，我最近一直在和不少CIO争论——他们打着安全的幌子，要求数据库服务器越来越频繁地停机重启。但我始终认为，像Microsoft SQL Server这类RDBMS服务器的定期、系统性停机（比如跟着Windows Update强制重启），其实完全违背了安全的初衷，甚至会埋下更大的安全隐患。

我拿SQL Server的情况来具体说说：

• 每次我们停止SQL Server服务、重启虚拟机或者物理服务器时，原本被SQL Server独占锁定的数据库文件，在停机的瞬间就会失去保护，变得极易被攻击。

我有个客户就亲身经历过这种惨痛教训：他的Linux环境下的RDBMS遭遇大规模攻击，所有数据库文件都被加密，但Windows上的SQL Server数据库文件当时逃过一劫。结果他误以为停机能保护SQL Server实例，就把服务停了，这下好了，那些原本安全的文件直接被加密了！

针对这个问题我刚写了一篇论文，就是想警示大家这种做法风险极高。

当然，Windows和SQL Server的补丁肯定要更新，但没必要逢补丁必更——如果补丁不涉及我们实际面临的CVE漏洞，也不修复我们遇到的功能性问题，那完全没必要急着更新重启。换句话说，那些和我们的漏洞风险、功能修复无关的补丁，根本没紧急更新的必要。

所以想问问各位同行，你们是支持还是反对服务器系统性停机这种做法？

备注：内容来源于stack exchange，提问作者SQLpro